深信服全网行为管理AC

随着无线的发展和移动终端的普及，总部办公网络里存在各种各样的终端设备，这些终端设备没有经过可信认证就随意接入内网或无线网络，并且这些终端本身可能存在一些安全隐患，这样给内网安全带来了极大的隐患。因此需要一种既能做到可信接入内网，又能对终端进行有效检测，减少终端运维成本的方案。对5个园区的办公网网络，需要实现统一内网准入规划。

1、总部园区AC以旁路模式部署在组织网络中，不影响原有的网络结构，通过交换机镜像流量，实现全网流量可视，主要用于审计和接入控制内网中的数据流及用户的网络行为。4个分支园区AC以串联模式部署在互联网出口，主要实现上网管控和内网接入认证。2、通过对有线和无线接入网络的终端进行有效认证，确保接入网络的终端都是可信的，不受信的终端不能访问内网IP；并且对其之后的行为进行记录，方便后续进行追溯。

无线网络基于身份灵活认证：对于无线网络， AC和无线控制器结合实现接入认证，只需要在AC上认证一次，自动同步给无线控制器。有线网络AD域实名认证：与AD域联动复用AD域账号进行实名认证登录。实现接入内网准入和外网准出只认证一次：通过深信服转发功能，将准入认证的用户信息同步到出口设备上；实现内部接入认证和外部网络认证的同步。

XX集团在2020年参与国家HW演练，在事后总结发现，集团内网的终端入网管控存在较大风险，容易被利用，比如无法根据IP定位到问题用户并处置、用户接入内网缺乏管控、外包开发人员混用无线网账号、权限不受限制等问题。客户决定针对集团内网终端安全管控进行专项加固，在不对业务系统进行大规模变动的整改和调整，在2021年HW演练前解决该问题，并能发挥价值。

1、广域网：数据中心入口串联部署全网行为管理AC，4个数据中心（成都、宜昌、北京、昆明），主要功能：基于业务的准入认证、业务访问控制和审计；2、互联网：出口串联部署全网行为管理AC，包含总部和二级单位出口，主要功能：终端安全基线检查、单点登录认证、人机对应、互联网访问控制和审计；3、总部运维区：部署统一管理设备BBC，实现AC的统一管控

身份基线可信，人机对应：针对办公网络终端+身份的可信认证接入内网，哑终端通过用户名+IP+MAC绑定，内网和外网支持单点登录，实现内网和互联网接入只需单次认证，身份信息同步。终端满足安全基线要求：普通人员终端须安装防病毒软件，研发外包禁止安装IM聊天软件，满足安全基线要求终端实现接入网络。权限合法，收缩网络权限：针对研发外包和哑终端权限收缩，实现网络权限最小化。风险处置，终端一键断网：联动安全运营中心，实现风险终端断网，无法访问网络。